萬泰物流供應鏈股份有限公司

資訊安全組織及管理審查作業標準
作業標準

1. 目的

為確保萬泰物流供應鏈股份有限公司（以下簡稱本公司）資訊安全管理系統能正確有效地運作並符合本公司之政策及目標，特訂定「資訊安全組織及管理審查作業標準」（以下簡稱本文件）律定本公司之資訊安全組織，並作為使資訊安全管理系統能正確有效地運作，而作為管理階層對資訊安全管理系統做定期評量之依據。

2. 適用範圍

本程序書適用於本公司「資訊安全政策」中定義之適用範圍，包括資訊安全組織架構及權責，以及管理階層對資訊安全管理系統審查作業之規劃及執行。

3. 名詞定義

無

4. 權責

4.1. 資安管理委員會組織圖

4.2. 工作職掌

4.2.1. 召集人須由總經理或總經理指定之人員擔任。
4.2.2. 資安管理委員會組織各分工、工作職掌及負責人與成員。負責人與成員之指定人員請參考「資訊安全組織名冊」。

5. 作業內容及程序

5.1. 審查作業之執行

5.1.1. 至少每年定期召開管理審查會議及執行組織全景與內外部需求分析，請參考「組織全景分析與評鑑表」，由召集人召開，審查資訊安全管理系統是否確實執行，目標是否達成，以確保系統運作之有效性。
5.1.2. 管理審查會議必要時得邀請相關領域專家列席參與。
5.1.3. 得視需要於召開臨時管理審查會議，召開時機如下：

1). 本公司重要業務或需求變更。
2). 影響業務運作之作業流程發生重大變革。
3). 法規或法律環境變更致影響本公司重要業務運作。
4). 重大安全事件或緊急通報事件。
5). 其他特殊事件。

5.2. 審查內容

管理審查會議應針對與下列各項有關的現行運作狀況、改善的可能性進行審查：
5.2.1. 前次管理審查會議已決議或未決議之項目追蹤。
5.2.2. 可能影響資訊安全管理系統之外部(如：適用法律、法規頒布及變更)及內部變更議題（如：備份方式之變更、伺服器作業系統之替換升級規劃）。
5.2.3. 不符合項目及矯正措施之執行狀況。
5.2.4. 與資訊安全管理系統有關之關注方之需求與期望的變更。
5.2.5. 各項績效指標監督及量測結果。
5.2.6. 資訊安全管理系統稽核結果。
5.2.7. 資訊安全目標的達成度。
5.2.8. 關注方之回饋或要求。
5.2.9. 風險評鑑結果及風險處理情況。
5.2.10. 資訊安全管理系統相關之系統、設備、紀錄等異常狀況。
5.2.11. 其他持續可改進之機會。

5.3. 管理審查會議之紀錄

5.3.1. 管理審查之結果應包括與持續改善機會有關之決策，以及任何對資訊安全管理系統變更之需要。
5.3.2. 管理審查會議之紀錄及其他輸出之相關資料，應於會議完畢後，由記錄人簽奉召集人核可後，以電子檔方式分發與會人員或單位，原稿需予以歸檔。（歸檔方式請依「文件與紀錄管理作業標準」辦理）
5.3.3. 會議之決議事項，交由各相關單位配合執行，執行幹事對執行成效負有追蹤考核之責任。
5.3.4. 會議決議事項需經適當處理及實施矯正者，依「矯正措施管理作業辦法」辦理。

6. 參考文件

6.1. 資訊安全政策
6.2. 文件與紀錄管理作業標準
6.3. 矯正措施管理作業辦法
6.4. 資訊安全組織名冊
6.5. 組織全景分析與評鑑表

7. 附件

(無)